Partie Partie réglementaire›Livre Livre Ier : Protection des personnes en matière de santé›Titre Titre Ier : Droits des personnes malades et des usagers du système de santé›Chapitre Chapitre Ier : Informations des usagers du système de santé et expression de leur volonté›Sect. Section 1 : Principes généraux›§ Sous-section 2 : Hébergement des données de santé à caractère personnel sur support numérique soumis à certification
Art. R1111-11
41 / 14682En vigueur depuis le 26 sept. 2026
I. - Le contrat d'hébergement mentionné au dernier alinéa du I de l'article L. 1111-8 est conclu entre l'hébergeur et son client. Il contient au moins les clauses suivantes :
1° L'indication du périmètre du certificat de conformité obtenu par l'hébergeur, ainsi que ses dates de délivrance et de renouvellement ;
2° La description des prestations réalisées, comprenant le contenu des services et résultats attendus notamment aux fins de garantir la disponibilité, l'intégrité, la confidentialité et l'auditabilité des données hébergées ;
3° L'indication des lieux d'hébergement ;
4° Les mesures mises en œuvre pour garantir le respect des droits des personnes concernées par les données de santé dont notamment :
-les modalités d'exercice des droits d'accès, de rectification, d'effacement et de portabilité des données, ainsi que de limitation du traitement et d'opposition au traitement, lorsque ceux-ci sont applicables, dans les conditions prévues aux articles 15 à 21 du règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
-les modalités de signalement au responsable de traitement de la violation des données à caractère personnel ;
-les modalités de conduite des audits par le délégué à la protection des données ;
5° La mention du référent contractuel du client de l'hébergeur à contacter pour le traitement des incidents ayant un impact sur les données de santé hébergées ;
6° La mention des indicateurs de qualité et de performance permettant la vérification du niveau de service annoncé, le niveau garanti, la périodicité de leur mesure, ainsi que l'existence ou l'absence de pénalités applicables au non-respect de ceux-ci ;
7° Une information sur les conditions de recours à d'éventuels prestataires techniques externes et les engagements de l'hébergeur pour que ce recours assure un niveau de protection équivalent de garantie au regard des obligations pesant sur l'hébergeur ;
8° Les modalités retenues pour encadrer les accès aux données de santé à caractère personnel hébergées ainsi que, le cas échéant, les informations relatives à un éventuel transfert vers un pays tiers à l'Union européenne ou à l'Espace économique européen mentionnées au second alinéa de l'article R. 1111-9-1, y compris un accès à distance depuis un tel pays ;
9° Les obligations de l'hébergeur à l'égard de la personne physique ou morale pour le compte de laquelle il héberge les données de santé à caractère personnel en cas de modifications ou d'évolutions techniques introduites par lui ou imposées par le cadre légal applicable ;
10° Une information sur les garanties et les procédures mises en place par l'hébergeur permettant de couvrir toute défaillance éventuelle de sa part ;
11° La mention de l'interdiction pour l'hébergeur d'utiliser les données de santé hébergées à d'autres fins que l'exécution de l'activité d'hébergement de données de santé ;
12° Une présentation des prestations à la fin de l'hébergement, notamment en cas de perte ou de retrait de certification et les modalités de mise en œuvre de la réversibilité de la prestation d'hébergement de données de santé ;
13° L'engagement de l'hébergeur de restituer, à la fin de la prestation, la totalité des données de santé au responsable de traitement ;
14° L'engagement de l'hébergeur de détruire, à la fin de la prestation, les données de santé après l'accord formel du responsable de traitement et sans en garder de copie ;
15° Si l'hébergeur ou l'un de ses sous-traitants est soumis à la législation d'un pays tiers qui n'est pas membre de l'Union européenne ou partie à l'espace économique européen, les mentions suivantes :
- la liste des réglementations extra-européennes en vertu desquelles l'hébergeur ou l'un de ses sous-traitants intervenant dans la prestation d'hébergement est tenu de permettre un transfert de données ou un accès non autorisé aux données de santé à caractère personnel, au sens de l'article 48 du même règlement ; si l'hébergeur n'est soumis à aucune législation d'un pays tiers lui imposant un transfert de données de santé à caractère personnel, il l'indique dans le contrat ;
- la décision d'adéquation prise en vertu de l'article 45 du règlement n° 2016/679 du 27 avril 2016 ;
- en l'absence de décision d'adéquation, d'une part, les mesures mises en œuvre par l'hébergeur pour atténuer les risques de transfert de données ou d'accès non autorisé aux données de santé à caractère personnel induits par ces réglementations extra-européennes et, d'autre part, la description des risques résiduels de transfert de données à caractère personnel ou d'accès non autorisé à ces données malgré ces mesures.
II. - Lorsque le responsable de traitement de données de santé ou le patient mentionnés au I de l'article R. 1111-8-8 fait appel à un prestataire qui recourt lui-même pour l'hébergement des données à un hébergeur certifié, le contrat qui lie le responsable de traitement ou le patient avec son prestataire reprend les clauses mentionnées au I telles qu'elles figurent dans le contrat liant le prestataire et l'hébergeur certifié.
III. - L'hébergeur rend publique et met à jour la cartographie des transferts des données de santé à caractère personnel vers le territoire d'un Etat qui n'est pas membre de l'Union européenne ou partie à l'accord sur l'Espace économique européen, des accès distants éventuels à ces données et des risques d'accès non autorisés par le règlement (UE) du 27 avril 2016 mentionné au I, selon des modalités précisées dans le référentiel de certification mentionné au I de l'article R. 1111-10.
Historique des versions
Cet article n'a jamais été modifié depuis sa publication.
Vos annotations
Prolegi/LEGITEXT000006072665#art-r1111-11